CIA

Schutzziele der Datensicherheit

Schutzziel	Praktisches Beispiel	Passende Schutzmaßnahme
Vertraulichkeit	Eine Person ohne Berechtigung könnte Personalakten lesen.	Die Akten nur für die Personalabteilung per Berechtigung freigeben.
Integrität	Ein Rechnungsbetrag wird unbemerkt verändert.	Änderungen protokollieren und nur berechtigten Personen das Bearbeiten erlauben.
Verfügbarkeit	Der Dateiserver fällt aus und Mitarbeitende können nicht auf ihre Dokumente zugreifen.	Einen Ersatzserver bereitstellen, der bei einem Ausfall übernimmt.

Technische und organisatorische Maßnahmen (TOMs)

Maßnahme	Praktisches Beispiel: Was soll verhindert werden?	Eine passende Maßnahme
Zutrittskontrolle	Eine fremde Person betritt den Serverraum.	Serverraum mit einer elektronischen Schließanlage sichern.
Zugangskontrolle	Jemand meldet sich mit einem gestohlenen Passwort am Firmennetz an.	Anmeldung mit einem zweiten Faktor absichern.
Zugriffskontrolle	Ein Mitarbeiter ist angemeldet, liest aber Personalakten, die er für seine Arbeit nicht benötigt.	Leserechte nur der Personalabteilung zuweisen.
Weitergabekontrolle	Eine Datei mit Kundendaten wird während der Übertragung von Unbefugten mitgelesen.	Datei über eine verschlüsselte Verbindung übertragen.
Eingabekontrolle	Ein Datensatz wird geändert und später ist unklar, wer die Änderung vorgenommen hat.	Änderungen mit Benutzerkennung und Zeitpunkt protokollieren.
Auftragskontrolle	Ein externer Dienstleister nutzt Kundendaten für eigene Zwecke.	Die Verarbeitung durch einen Auftragsverarbeitungsvertrag und dokumentierte Weisungen festlegen.
Verfügbarkeitskontrolle	Nach einem Festplattenausfall fehlen wichtige Dateien.	Regelmäßige Backups erstellen und ihre Wiederherstellung testen.
Trennung von Daten	Daten verschiedener Kunden oder Verarbeitungszwecke werden vermischt.	Getrennte Datenbereiche mit passend eingerichteten Berechtigungen verwenden.

Merke: Zutritt betrifft Räume, Zugang die Anmeldung am System und Zugriff die Berechtigung auf bestimmte Daten. Verfügbarkeit bedeutet, dass Systeme wie vorgesehen nutzbar sind; eine ausnahmslos jederzeitige Verfügbarkeit ist damit nicht gemeint.